Security GRC Engineer

Glovo ищет инициативного Security GRC Engineer, который поможет укрепить нашу глобальную систему безопасности и ориентироваться в быстро меняющейся нормативной среде. На этой многогранной позиции вы будете поддерживать соответствие требованиям стандартов и фреймворков (PCI DSS, ISO 27001, NIS2), внутренние и внешние аудиты, управлять оценкой рисков и их устранением, а также развивать в нашей организации программы повышения осведомлённости в области безопасности. Выступая стратегическим мостом между технической инженерией, юристами и бизнес-стейкхолдерами, вы будете превращать сложные юридические и регуляторные требования в надёжные, практически применимые меры контроля безопасности. Идеальный кандидат обладает глубокой экспертизой в управлении рисками кибербезопасности, практическим опытом работы с GRC-инструментами и готовностью к сотрудничеству, необходимой для формирования культуры, в которой безопасность стоит на первом месте, во всём Glovo.

• Разрабатывать, внедрять и поддерживать политики и процедуры безопасности в соответствии с применимыми фреймворками и стандартами соответствия (например, ISO 27001, NIST, PCI DSS, GDPR, NIS2, EU AI Act).
• Разрабатывать, проводить и реализовывать программы повышения осведомлённости в области безопасности, обучая сотрудников лучшим практикам и требованиям соответствия.
• Проводить оценку рисков безопасности, рекомендовать и внедрять стратегии их снижения, вести реестр рисков и отслеживать статус планов по устранению.
• Координировать и обрабатывать запросы клиентов по безопасности и опросники для проверки благонадёжности (due diligence) (например, SIG, CAIQ). Проверять изменения в договорах, связанные с безопасностью, защитой данных и конфиденциальностью, и давать по ним свои комментарии.
• Предлагать, разрабатывать и внедрять процессы и инструменты для непрерывного мониторинга безопасности, чтобы обеспечить постоянное соблюдение политик.
• Помогать в сквозном процессе сертификации и повторной сертификации в области безопасности (например, PCI DSS, ISO 27001, NIS2 и других).
• Помогать с внутренними оценками для выявления пробелов, слабых мест или несоответствий в наших мерах контроля безопасности.
• Поддерживать внешние и внутренние аудиты: готовить документацию, координировать работу с аудиторами, отслеживать выполнение последующих действий и устранение выявленных замечаний.
• Выступать ключевым связующим звеном между техническими командами, юристами, внутренним аудитом и бизнес-подразделениями, чтобы обеспечить единый подход к безопасности и соответствию требованиям

• Степень бакалавра в области компьютерных наук, информационных систем или аналогичной области.
• Профессиональные сертификаты в области безопасности (CISSP, CISM, CISA, ISO 27001 Lead Implementer или эквивалент).
• Не менее 5 лет опыта в этой области или в смежной сфере.
• Прочное понимание и опыт работы с фреймворками мер контроля безопасности (NIST, PCI DSS, GDRP, ISO 27001, NIS2)
• Практический опыт работы с GRC-платформами (например, RSA Archer, SAP GRC, StandardFusion, ServiceNow, OneTrust и т. д.).
• Сильные навыки управления несколькими проектами и отчётности по ним, расстановки приоритетов, эффективного управления временем; умение работать с минимальными указаниями при выполнении задач.
• Подтверждённые навыки решения проблем, аналитические и исследовательские навыки в сочетании со способностью находить творческие решения и действовать в условиях неопределённости в быстро меняющейся, гибкой (agile) среде.
• Подтверждённый опыт командной работы: умение хорошо взаимодействовать с другими при решении проблем в динамике, ориентированной на команду.
• Отличные навыки письменной и устной коммуникации, а также сильные навыки межличностного общения и выстраивания отношений.
• Опыт обеспечения соответствия требованиям в облачных средах (AWS, Azure, GCP) и знание фреймворков, таких как Cloud Controls Matrix (CCM).
• Опыт работы с методологиями количественной оценки рисков (например, FAIR) для оценки финансового и операционного влияния рисков безопасности.
• Серьёзный опыт разработки и реализации эффективных программ повышения осведомлённости в области безопасности для формирования культуры, в которой безопасность стоит на первом месте.

• Навыки разработки для автоматизации интеграций или процессов (например, python).
• Опыт разработки, документирования и тестирования планов обеспечения непрерывности бизнеса (Business Continuity Plans, BCP) и планов аварийного восстановления (Disaster Recovery, DR).
• Практическое знание EU AI Act, включая его подход, основанный на оценке рисков, и требования к ИИ-моделям с высоким уровнем риска и ИИ-моделям общего назначения. Знакомство с угрозами безопасности ИИ и соответствующими фреймворками (NIST AI RMF, MITRE ATLAS).

В Glovo мы ценим разнообразие и считаем, что оно делает лучше наши команды, продукты и культуру. Мы знаем, что лучшие идеи рождаются из сочетания блестящих, непохожих друг на друга умов. Поэтому мы стремимся предоставлять равные возможности талантам из любой среды — независимо от пола, расы и происхождения, способностей, возраста, сексуальной ориентации и всех других уникальных особенностей, которые делают вас ВАМИ. Мы будем поощрять вас быть на работе самим собой, формируя инклюзивную среду, в которой каждый чувствует, что его слышат.